Die Nacogdoches Memorial Hospital gab diese Woche Anzeige gegenüber dem Generalstaatsanwalt von Maine und informierte knapp 257.000 betroffene Personen über den Datendiebstahl. Bei dem Angriff gelangten Hacker an ein beeindruckendes Spektrum an Informationen: vollständige Namen, Wohnadressen, Telefonnummern, E-Mail-Adressen, Sozialversicherungsnummern, Geburtsdaten, medizinische Aktenummern, Kontonummern, Krankenkassen-Versicherungsnummern und sogar Fotografien der Patienten.
In den Schreiben an die betroffenen Patienten betonte NMH zwar, dass bislang keine Hinweise darauf vorliegen, dass die gestohlenen Daten bereits missbräuchlich verwendet wurden. Dennoch riet die Klinik den Betroffenen, wachsam zu bleiben, ihre Konten regelmäßig zu überwachen und verdächtige Aktivitäten oder Anzeichen von Identitätsdiebstahl zu melden. Kritisch anzumerken: Das Krankenhaus bot den Patienten weder kostenlose Überwachungsdienste für Identitätsdiebstahl noch kostenlosen Kreditschutz an.
Nach Angaben des Hospitals wurden unmittelbar nach Entdeckung des Vorfalls Maßnahmen eingeleitet: Das Computernetzwerk wurde erneut gesichert, die Sicherheitsmaßnahmen wurden verstärkt, und die Strafverfolgungsbehörden wurden benachrichtigt. Allerdings hielt sich NMH bedeckt hinsichtlich der Identität des Angreifers. Bislang hat sich keine bekannte Ransomware-Gruppe zu der Aktion bekannt, und es gibt keinen öffentlichen Hinweis auf eine Erpressungskomponente.
Das Nacogdoches Memorial Hospital ist eine etablierte Einrichtung im texanischen Nacogdoches und betreibt neben der Notaufnahme Fachabteilungen für Kardiologie und Chirurgie. Der Vorfall reiht sich ein in eine wachsende Reihe von Cyberangriffen auf den amerikanischen Gesundheitssektor – ein Trend, der auch in Deutschland und Europa zunehmend zu beobachten ist.
Für deutsche Organisationen und Patienten sollte dieser Fall ein Weckruf sein: Während Krankenhäuser in der Regel als kritische Infrastruktur durch nationale Regelwerke wie die IT-Sicherheitsverordnung geschützt sein sollten, zeigen solche Vorfälle immer wieder, dass spezialisierte Angreifer auch gegen robuste Sicherheitskonzepte erfolgreich sein können. Die Kombination aus Patientendaten, finanziellen Informationen und medizinischen Details macht Krankenhäuser zu hochattraktiven Zielen für Cyberkriminelle.